《人工智能法案》（AI Act）是欧盟的一项法规，旨在欧盟内部为人工智能（AI）建立共同的监管和法律框架。该法案于2024年8月1日生效，各项条款将在随后的6至36个月内逐步实施。法案涵盖广泛行业中大多数人工智能系统，但豁免仅用于军事、国家安全、研究目的或非专业用途的人工智能。作为一种产品监管形式，它不创设个人权利，而是对人工智能提供者以及在专业环境中使用人工智能的组织施加义务。
该法案根据非豁免人工智能应用造成伤害的风险将其分为四个等级，，不可接受、高风险、有限风险和最小风险，，外加一个通用人工智能类别。不可接受风险的应用被禁止；高风险应用必须遵守安全、透明度和质量义务，并接受合格评估；有限风险应用仅需履行透明度义务；最小风险应用则不受监管。对于通用人工智能，法案施加透明度要求，对开源模型降低要求，并对高能力模型进行额外评估。法案还设立了欧洲人工智能委员会，以促进国家间合作并确保合规。与欧盟的《通用数据保护条例》类似，该法案可适用于欧盟境外的提供者，只要其在欧盟境内拥有用户。
立法历史
欧盟委员会于2021年4月21日提出了《人工智能法案》。草案经过修订，以应对生成式人工智能系统（如ChatGPT）日益普及的情况，这些系统的通用能力不符合主要框架。欧洲议会于2024年3月13日通过了该法案，欧盟理事会于2024年5月21日一致批准。最终文本在欧盟官方公报上发布，该法规于2024年8月1日生效。分阶段实施意味着某些条款（如对不可接受风险系统的禁令）适用较早，而其他条款（如对高风险系统的义务）则适用较晚。
风险类别
《人工智能法案》建立了基于风险的分级方案，遵循产品安全模式。监管义务被分配给人工智能系统的提供者和部署者，随着对健康、安全或基本权利潜在影响的增加，这些义务也变得更加严格。这种结构确保监管重点放在可能产生重大风险的系统上，同时对被认为不太敏感的用途采取更宽松的方法。一些法律学者认为，在实践中，该法案将“可信赖的人工智能”定义为能够证明符合这些安全和风险阈值的系统。根据欧洲议会研究服务处的初步评估，委员会的影响评估在比较该风险框架的政策选项时，借鉴了利益相关者咨询和广泛现有研究。
不可接受风险
此类别中的人工智能应用被禁止，除非有特定豁免。在没有豁免的情况下，这包括操纵人类行为的人工智能应用、在公共场所使用实时远程生物识别（如面部识别）的应用，以及用于社会评分（根据个人特征、社会经济地位或行为对个人进行排名）的应用。
高风险
预期对人员健康、安全或基本权利构成重大威胁的人工智能应用属于此类别。值得注意的是，用于健康、教育、招聘、关键基础设施管理、执法或司法领域的人工智能系统均被包括在内。它们须遵守质量、透明度、人工监督和安全义务，在某些情况下，在部署前需要进行基本权利影响评估。基本权利影响评估（FRIA）是一种事前审查，旨在人工智能系统部署前识别并减轻对基本权利的潜在影响。早期关于算法影响评估的研究表明，此类工具应识别受自动化系统影响的个人和社区，描述可能的危害，并为其使用提供公众和机构审查的基础。高风险系统必须在投放市场前以及整个生命周期内进行评估。高风险应用清单可随时间扩展，而无需修改《人工智能法案》本身。公民还有权对人工智能系统提出投诉，并有权获得影响其权利的高风险人工智能所做决定的解释。
有限风险
此类别中的人工智能系统负有透明度义务，确保用户被告知他们正在与人工智能系统交互，并使他们能够做出知情选择。此类别包括例如能够生成或操纵图像、声音或视频（如深度伪造）的人工智能应用。
最小风险
此类别包括例如用于视频游戏或垃圾邮件过滤器的人工智能系统。预计大多数人工智能应用属于此类别。这些系统不受监管，且由于最大协调规则，成员国不能施加额外法规。有关此类系统设计或使用的现有国家法律将被覆盖。然而，建议采用自愿行为准则。
通用人工智能
2023年新增的通用人工智能类别包括能够执行广泛任务的基础模型（例如ChatGPT）。如果模型的权重和设计开源，开发者必须发布训练数据摘要和版权政策；闭源模型必须满足更广泛的透明度要求。具有系统性风险的高影响力模型（训练所需浮点运算超过10^25次）必须接受额外评估。2025年7月10日发布的《通用人工智能行为准则》概述了关于透明度、版权以及安全与保障的三个主要章节，以帮助提供者证明符合《人工智能法案》。参与该准则属自愿行为。
除了这些基本透明度义务外，法案还为通用人工智能模型提供者设定了一份共同义务清单。他们必须发布训练数据摘要、采用遵守版权法的政策，并向下游提供者和监管机构提供技术文档。被指定为具有系统性风险的模型还必须进行模型评估和对抗性测试，评估并减轻偏见和安全故障等风险，报告严重事件，并确保足够的网络安全水平。
豁免
第2.3条和第2.6条豁免用于军事或国家安全目的或纯科学研究与开发的人工智能系统。特别是，该法规不适用于仅用于军事、国防或国家安全目的的人工智能系统，也不适用于仅为科学研究而开发和投入使用的系统。此外，用于非专业个人活动的人工智能不在覆盖范围内。
执行与治理
该法案设立了欧洲人工智能委员会，以促进国家间合作并确保合规。每个成员国预计将指定负责市场监督和执行的主管机构。与GDPR类似，该法案可适用于欧盟境外的提供者，只要其在欧盟境内拥有用户。不合规的处罚可能相当严重，但具体金额未在源事实中详述。
影响与反响
《人工智能法案》被视为具有里程碑意义的立法，是世界上第一部全面的人工智能法律。它被比作GDPR，具有潜在的全球影响力，因为欧盟以外的公司可能选择遵守其标准以进入欧盟市场。基于风险的方法因关注实际危害而受到赞扬，但一些批评者认为高风险的定义过于宽泛，或者军事和安全用途的豁免范围过广。该法案还旨在通过为人工智能开发者和用户提供法律确定性来促进创新。
与其他人工智能发展的关系
《人工智能法案》的通用人工智能条款是为了应对生成式人工智能模型的快速发展而引入的，例如由OpenAI、Anthropic和Google DeepMind开发的模型。这些模型基于Transformer (architecture)架构，并使用Machine learning技术进行训练，其能力跨越多个领域，使其难以归入传统产品类别。法案的透明度和风险评估要求旨在补充Model Pruning和Data Augmentation等技术安全措施，尽管法案本身并未规定具体技术方法。
未来展望
截至2025年，《人工智能法案》处于早期实施阶段。欧盟委员会预计将发布进一步指南和授权法案，以澄清某些条款。2025年7月10日发布的《通用人工智能行为准则》是帮助提供者合规的关键一步。该法案对欧盟及其他地区人工智能创新和部署的长期影响仍有待观察，但它很可能在未来几年塑造全球人工智能治理的讨论。